Gmail a rischio su Android? Quanto c'è di vero

La stampa, soprattutto quella generalista, sta in queste ore riportando la notizia della scoperta di una pericolosa vulnerabilità in Android che consentirebbe di “attaccare Gmail con il 92% delle probabilità di successo“.
Così come è stata presentata, sembrerebbe trattarsi di una falla di sicurezza che interessa esclusivamente il sistema operativo di Google e la sua app per la gestione della posta elettronica sui dispositivi mobili. Ma le cose stanno realmente così?

Tutto è iniziato con la pubblicazione di uno studio elaborato da un team di ricercatori in forza presso due università statunitensi, quella della California e quella del Michigan. Il lavoro di Zhiyun Qian e Qi Alfred Chen – questi i nomi dei due accademici – è stato poi presentato un paio di giorni fa in occasione USENIX Security Symposium di San Diego.

Nel documento pubblicamente consultabile a questo indirizzo sono riportati tutti i dettagli tecnici sull’attacco.

Quali dispositivi sono vulnerabili all’attacco?

Innanzi tutto è bene precisare, come confermato dal duo Qian-Chen, che l’attacco non interessa solamente i possessori di dispositivi a cuore Android ma anche coloro che utilizzano device basati su altri sistemi operativi (come Apple iOS e Windows Phone).
Gli universitari di California e Michigan hanno usato, come piattaforma di test, un dispositivo Android ma gli attacchi possono essere egualmente portati anche sui sistemi operativi della concorrenza.

Come avviene l’attacco e quali informazioni possono essere sottratte?

L’aggressione descritta nello studio accademico appena reso di pubblico dominio sfrutta l’utilizzo di un’applicazione malevola che viene lasciata in esecuzione sul dispositivo e che si occupa di intercettare ciò che avviene a livello di interfaccia grafica (GUI, graphical user interface). Il framework che, sugli smartphone, sui tablet e sui device mobili in generale, si occupa della gestione della GUI è infatti uno degli aspetti che, solitamente, vengono più trascurati dal punto di vista della sicurezza.
Il cosiddetto “UI state inference attack” consente ad un’app malevola di carpire preziose informazioni sullo stato dell’interfaccia grafica attingendo ai dati conservati nella memoria condivisa.
Ciò significa che spronando l’utente ad eseguire un’applicazione “ad hoc”, un utente malintenzionato può riuscire a sottrarre nomi utente, password, codici di autenticazione, dati personali, interi messaggi non solo da Gmail ma anche da moltissime altre app via a via eseguite sul dispositivo mobile. Si pensi, ad esempio, all’app utilizzata per l’accesso al servizio di online banking, a quella per l’effettuazione di prenotazioni di hotel e voli aerei, e così via.

Nel caso di Android gli autori dello studio hanno ribattezzato l’aggressione “activity interference attack“: sul sistema operativo di Google, infatti, si chiama activity ciascuna finestra che contiene l’interfaccia utente dell’applicazione. Ogni singola applicazione Android può avere zero attività oppure utilizzarne più di una (vedere anche Sviluppare app Android con Android Studio).
Qian e Chen hanno così voluto sottolineare come l’attacco sfrutti proprio i cambiamenti legati allo stato dell’interfaccia utente e si concentri esclusivamente sulle informazioni di volta in volta visualizzate sul display.

È importante evidenziare che l’app malevola mantenuta costantemente in esecuzione in background non necessita di alcun permesso particolare. Nel video che pubblichiamo di seguito si vede come l’app Android “UI State Hijacking” utilizzi solamente i permessi per l’accesso alla rete (in questo caso per condividere le informazioni sottratte con un altro dispositivo):

I ricercatori, con la loro indagine, hanno voluto dimostrare come sia falsa la credenza che le app, soprattutto sui dispositivi non sottoposti a rooting, non siano in grado di interferire l’una con l’altra in molto semplice.

Affinché l’attacco vada a buon fine, però, è ovviamente necessario che l’applicazione malevola sia in esecuzione. Inoltre, la probabilità di successo è mediamente pari all’80-90%, secondo quanto dichiarato. Non in tutte le situazioni, infatti, l’app maligna è in grado di intercettare l’activity visualizzata in primo piano.
Come viene chiarito ai punti 5.2.2 e 5.2.3 dello studio, il tempo di utilizzo della CPU e l’utilizzo della rete contribuiscono alla buona riuscita dell’attacco.
Un attacco rivolto nei confronti dell’app di Amazon, ad esempio, si è rivelato molto meno efficace in primis in forza della struttura grafica del menù dell’applicazione e del ridotto numero di accessi alla rete (grazie all’impiego di un sistema di caching delle informazioni).

Per le prove Qian e Chen hanno utilizzato quattro Samsung Galaxy S3 basati su Android 4.1. Sarà interessante verificare se le più recenti release di Android integrano alcune delle soluzioni proposte dagli esperti per mitigare gli attacchi.

Agli utenti viene consigliato di porre massima attenzione sulle app scaricate ed installate.